← Volver al inicio

Política de Privacidad

Última actualización: 14 de junio de 2026

Nextival está diseñado con un enfoque de privacy by design y minimización de datos: no recogemos tu nombre, correo electrónico ni datos biométricos para usar las apps. Tu identidad en la plataforma es un identificador seudónimo y la analítica de uso es des-identificada. Esta política explica con transparencia qué datos se tratan, con qué base legal y cómo ejercer tus derechos.

1. Responsable del tratamiento

El responsable de los tratamientos descritos en esta política como propios de la plataforma es:

  • THE NEXTIVAL HUB SL
  • Domicilio social: Calle Princesa 31, planta 2, puerta 2, 28008 Madrid
  • NIF: B27552025
  • Contacto en materia de privacidad: hola@nextival.app

En adelante, "Nextival", "nosotros" o "la plataforma".

2. Dos roles según el tratamiento (modelo white-label)

Nextival es una plataforma que cada organizador de festivales (el "promotor") publica como su propia aplicación para gestionar a sus asistentes. Por eso conviene distinguir dos situaciones, porque determinan quién es el responsable legal de tus datos:

  • Datos del asistente vinculados a un festival concreto (compra de entradas, pagos cashless, personalización del evento, notificaciones de ese festival, contenido social y sorteos): el promotor del festival es el Responsable y decide los fines de ese tratamiento. Nextival actúa como Encargado del tratamiento, es decir, trata esos datos por cuenta del promotor y siguiendo sus instrucciones (Art. 28 RGPD). El promotor publica su propia información de privacidad para estos tratamientos.
  • Datos propios de la plataforma Nextival (tu identidad seudónima, la recuperación de cuenta, la analítica des-identificada, los registros de seguridad y la web corporativa): aquí Nextival es el Responsable, porque somos nosotros quienes decidimos esos fines, que son transversales a todos los festivales.

Las secciones siguientes están organizadas según estos dos bloques.

3. Tratamientos en los que Nextival es Responsable

3.1. Identidad seudónima del usuario (userHash)

Para que las apps funcionen sin pedirte un registro con nombre o correo, generamos un identificador único en tu dispositivo (el "userHash"), derivado de un valor aleatorio que se guarda en el almacenamiento seguro del sistema (Llavero/Secure Enclave en iOS, Keystore/almacenamiento cifrado en Android). Es importante que entiendas con honestidad cómo funciona:

  • No contiene ni se deriva de tu nombre, correo, teléfono ni datos biométricos.
  • Sí se envía a nuestros servidores en cada petición, porque es lo que permite asociar tus entradas, tu saldo o tus preferencias a tu cuenta sin pedirte datos personales.
  • Por ello, jurídicamente se considera un dato personal seudónimo (no anónimo) conforme al RGPD: te individualiza, aunque por sí solo no revela tu identidad civil.
  • En iOS persiste entre reinstalaciones de la app; en Android puede no persistir tras una reinstalación, en cuyo caso se genera una nueva identidad.

Base legal: ejecución del servicio que solicitas e interés legítimo en proporcionar una identidad funcional minimizando los datos personales (Art. 6.1.b y 6.1.f).

3.2. Recuperación de cuenta

Puedes generar un código de recuperación para restaurar tu identidad en otro dispositivo o tras una reinstalación. Ese código se almacena en nuestros servidores cifrado mediante una función de hash robusta (bcrypt); no guardamos el código en claro. Base legal: ejecución del servicio (Art. 6.1.b).

3.3. Analítica de uso des-identificada

Para conocer cómo se usan las apps y poder mejorarlas, así como ofrecer métricas agregadas a los promotores, recogemos eventos de uso (por ejemplo, secciones visitadas o interacciones con contenido). Este tratamiento está diseñado para ser des-identificado:

  • Las métricas de usuarios únicos se calculan con estructuras probabilísticas (HyperLogLog) que no permiten reconstruir qué usuario hizo qué.
  • Se aplica k-anonimato (umbral de 5): los recursos con menos de 5 usuarios únicos no se desglosan individualmente.
  • El registro detallado intermedio usa un identificador rotatorio (no el userHash), derivado mediante una clave que rota a diario, y se elimina a los 90 días. Solo los agregados des-identificados se conservan más tiempo.
  • No vendemos estos datos ni los usamos para publicidad ni para elaboración de perfiles individuales.

Base legal: interés legítimo en analizar y mejorar el servicio sobre datos des-identificados (Art. 6.1.f).

3.4. Registros de seguridad (logs de auditoría)

Conservamos registros técnicos (incluyendo dirección IP y agente de usuario) con fines de seguridad, prevención de fraude y diagnóstico de incidencias. Base legal: interés legítimo en la seguridad de la plataforma (Art. 6.1.f).

3.5. Web corporativa: formulario de contacto y analítica

El formulario de contacto de nextival.app recoge nombre, email, nombre del festival y un mensaje opcional, que se gestionan a través de Formspark para atender tu solicitud (base legal: consentimiento, Art. 6.1.a). Para la analítica de la web usamos Umami Analytics, alojado en nuestra propia infraestructura, sin cookies y sin almacenar direcciones IP identificables (base legal: interés legítimo sobre datos anónimos, Art. 6.1.f). Consulta también nuestra Política de Cookies.

3.6. Datos de organizadores de festivales (clientes)

Para los promotores que contratan nuestros servicios tratamos datos de contacto empresarial (nombre, email, teléfono), información de facturación y datos del festival (fechas, ubicación, programación). Base legal: ejecución del contrato o medidas precontractuales (Art. 6.1.b).

3.7. Localización de amigos (Friends)

Si esta función está disponible, puedes formar grupos para localizar a tus amigos dentro del recinto. Tratamos los grupos, los apodos y tu ubicación con las siguientes salvaguardas:

  • La ubicación se comparte mediante cifrado de extremo a extremo (E2E): viaja cifrada y nuestros servidores no pueden leerla; solo los miembros de tu grupo con la clave correspondiente.
  • La compartición de ubicación solo se activa con tu consentimiento explícito, otorgado a través del permiso de ubicación del sistema operativo, y puedes revocarla en cualquier momento desde los ajustes de tu dispositivo.
  • Por tratarse de datos de ubicación, este tratamiento está sujeto a salvaguardas reforzadas y a una evaluación de impacto relativa a la protección de datos (DPIA) previa.

Base legal: consentimiento del interesado (Art. 6.1.a).

4. Tratamientos en los que Nextival es Encargado (por cuenta del promotor)

En los siguientes tratamientos el Responsable es el promotor del festival; Nextival los realiza por su cuenta como Encargado. Para el ejercicio de derechos sobre estos datos, el responsable último es el promotor, si bien Nextival le presta asistencia técnica (ver sección 8).

  • Venta de entradas (ticketing), transferencias y reembolsos: identificador seudónimo, compra, entradas y referencia de pago en Stripe. El festival actúa como comerciante de registro (merchant of record).
  • Pagos cashless: pulseras, saldo y transacciones dentro del recinto.
  • Economía de la app (coins): saldo y transacciones de compras integradas (in-app purchases) gestionadas por Apple/Google.
  • Personalización del evento: favoritos, "Mi Día", votaciones y "me gusta", vinculados a tu identidad seudónima e identificadores de contenido del festival.
  • Notificaciones push: el token de notificaciones del dispositivo (APNs en iOS, FCM en Android) y el modelo de dispositivo, para enviarte avisos del festival.
  • Contenido social, muro y sorteos: interacciones y participaciones del asistente.

Algunos de estos tratamientos tienen además una vertiente propia de Nextival como Responsable: la economía de la moneda virtual (coins) y la infraestructura y los tokens de notificaciones. El contenido y los fines concretos de cara al asistente los decide el promotor.

5. Base jurídica del tratamiento (Art. 6 RGPD)

  • Identidad seudónima y recuperación de cuenta: ejecución del servicio e interés legítimo (Art. 6.1.b y 6.1.f).
  • Compra de entradas, cashless y coins: ejecución de un contrato (Art. 6.1.b).
  • Personalización, notificaciones del festival y contenido social: ejecución del servicio solicitado e interés legítimo del promotor (Art. 6.1.b y 6.1.f); las notificaciones de marketing, en su caso, requerirían consentimiento (Art. 6.1.a).
  • Localización de amigos (Friends): consentimiento, otorgado mediante el permiso de ubicación del sistema operativo (Art. 6.1.a).
  • Analítica des-identificada y registros de seguridad: interés legítimo (Art. 6.1.f).
  • Formulario de contacto: consentimiento (Art. 6.1.a).
  • Datos de organizadores: ejecución de contrato o medidas precontractuales (Art. 6.1.b).
  • Preferencias del navegador (tema, idioma): exención del Art. 5.3 de la Directiva ePrivacy — estrictamente necesarias para el funcionamiento solicitado.

6. Destinatarios y encargados del tratamiento

Para prestar el servicio recurrimos a los siguientes proveedores, que actúan como encargados o subencargados del tratamiento y solo tratan los datos necesarios para su función:

  • Stripe, Inc. (EE.UU.) — Procesamiento de pagos (entradas, cashless). Certificado PCI DSS Level 1. Nextival no almacena datos de tarjetas.
  • Apple Inc. (EE.UU.) — Notificaciones push (APNs), compras integradas (App Store / IAP) y servicios del sistema utilizados por la app iOS (p. ej. WeatherKit, MusicKit).
  • Google LLC (EE.UU.) — Notificaciones push y mensajería (Firebase Cloud Messaging), compras integradas (Google Play) y servicios de mapas (Google Maps) en la app Android.
  • Cloudflare, Inc. (EE.UU.) — Entrega de vídeo y streaming (Cloudflare Stream) y almacenamiento de objetos (R2) del contenido multimedia.
  • Resend (EE.UU.) — Envío de correos transaccionales al personal administrador del CMS (no a asistentes).
  • Formspark (EE.UU.) — Gestión del formulario de contacto de la web.
  • Railway Corp. (EE.UU.) — Alojamiento de infraestructura y de la instancia de Umami Analytics.

Todos los recursos del sitio web (fuentes tipográficas, scripts, iconos) se sirven desde nuestros propios servidores, sin CDNs externos, evitando transferencias involuntarias de tu dirección IP al navegar.

7. Transferencias internacionales de datos

Algunos de nuestros encargados están ubicados en Estados Unidos. Estas transferencias se amparan en:

  • Las Cláusulas Contractuales Tipo (CCT) aprobadas por la Comisión Europea (Decisión 2021/914).
  • El Marco de Privacidad de Datos UE-EE.UU. (EU-U.S. Data Privacy Framework), cuando el proveedor esté certificado.

8. Tus derechos (Art. 15-22 RGPD)

Puedes ejercer en cualquier momento los derechos de acceso, rectificación, supresión, limitación, portabilidad y oposición sobre tus datos personales:

  • Desde la propia app: en la sección de privacidad de tu perfil puedes exportar tus datos (acceso y portabilidad, Art. 15 y 20) y borrar tu cuenta (supresión, Art. 17) directamente, sin necesidad de contactarnos. El borrado puede estar limitado cuando exista una obligación legal de conservación (por ejemplo, registros fiscales de entradas ya adquiridas) o entradas activas para eventos futuros, en cuyo caso se te informará.
  • Acceso (Art. 15): confirmación de si tratamos tus datos y acceso a ellos.
  • Rectificación (Art. 16): corregir datos inexactos o incompletos.
  • Supresión (Art. 17): eliminar tus datos cuando ya no sean necesarios.
  • Limitación (Art. 18) y oposición (Art. 21): en los tratamientos basados en interés legítimo.
  • Portabilidad (Art. 20): recibir tus datos en un formato estructurado y de uso común.
  • Retirada del consentimiento: cuando el tratamiento se base en él, sin afectar a la licitud del tratamiento previo.

Para los tratamientos en los que Nextival es Responsable (sección 3), puedes ejercer estos derechos escribiendo a hola@nextival.app; responderemos en un plazo máximo de 30 días. Para los tratamientos en los que Nextival es Encargado (sección 4), el responsable es el promotor del festival; si nos diriges una solicitud, te ayudaremos a canalizarla hacia él y le prestaremos la asistencia técnica necesaria.

9. Plazos de conservación

  • Identidad seudónima y datos asociados: mientras la cuenta esté activa; se eliminan al borrar la cuenta, salvo obligación legal de conservación.
  • Registro detallado de analítica: máximo 90 días; los agregados des-identificados pueden conservarse más tiempo al no permitir identificar a personas.
  • Datos de entradas y pagos: durante la relación con el festival y los plazos legales de conservación fiscal y mercantil aplicables (orientativamente 4-6 años), por cuenta del promotor.
  • Registros de seguridad (logs): durante el plazo necesario para los fines de seguridad y prevención de fraude.
  • Formulario de contacto: mientras dure la comunicación comercial y hasta 12 meses desde el último contacto si no se formaliza relación contractual.
  • Datos de organizadores (contrato): vigencia del contrato y plazos legales de conservación posteriores.

10. Decisiones automatizadas

Nextival no realiza decisiones automatizadas con efectos jurídicos ni elaboración de perfiles individuales (profiling) en el sentido del Art. 22 del RGPD.

11. Menores

El acceso a los eventos y la contratación de servicios corresponden al promotor del festival, que es responsable de verificar la edad mínima y, en su caso, de recabar el consentimiento exigido para menores conforme al Art. 8 del RGPD. Nextival proporciona la clasificación de edad (age rating) de las apps en las tiendas.

12. Derecho a reclamar ante la autoridad de control

Si consideras que el tratamiento de tus datos no se ajusta a la normativa, puedes reclamar ante la Agencia Española de Protección de Datos (AEPD):

  • Web: www.aepd.es
  • Dirección: C/ Jorge Juan, 6, 28001 Madrid

13. Cambios en esta política

Nos reservamos el derecho de actualizar esta política de privacidad. Los cambios se publicarán en esta página con la fecha de última actualización.

14. Contacto

Para cualquier consulta sobre privacidad: hola@nextival.app

Privacy Policy

Last updated: 14 June 2026

Nextival is built with a privacy by design and data minimization approach: we do not collect your name, email address or biometric data to use the apps. Your identity on the platform is a pseudonymous identifier and usage analytics are de-identified. This policy transparently explains what data is processed, on what legal basis, and how to exercise your rights.

1. Data Controller

The controller of the processing activities described in this policy as the platform's own is:

  • THE NEXTIVAL HUB SL
  • Registered office: Calle Princesa 31, planta 2, puerta 2, 28008 Madrid
  • NIF: B27552025
  • Privacy contact: hola@nextival.app

Hereinafter, "Nextival", "we" or "the platform".

2. Two roles depending on the processing (white-label model)

Nextival is a platform that each festival organizer (the "promoter") publishes as their own application to manage their attendees. It is therefore worth distinguishing two situations, because they determine who is the legal controller of your data:

  • Attendee data linked to a specific festival (ticket purchases, cashless payments, event personalization, notifications for that festival, social content and raffles): the festival promoter is the Controller and determines the purposes of that processing. Nextival acts as Data Processor, that is, it processes that data on behalf of the promoter and following their instructions (Art. 28 GDPR). The promoter publishes their own privacy information for these processing activities.
  • Data belonging to the Nextival platform itself (your pseudonymous identity, account recovery, de-identified analytics, security logs and the corporate website): here Nextival is the Controller, because we are the ones who decide those purposes, which are cross-cutting across all festivals.

The following sections are organized according to these two blocks.

3. Processing in which Nextival is the Controller

3.1. Pseudonymous user identity (userHash)

So that the apps can work without asking you to register with a name or email, we generate a unique identifier on your device (the "userHash"), derived from a random value stored in the system's secure storage (Keychain/Secure Enclave on iOS, Keystore/encrypted storage on Android). It is important that you honestly understand how it works:

  • It does not contain and is not derived from your name, email, phone or biometric data.
  • It is sent to our servers with every request, because that is what allows your tickets, your balance or your preferences to be associated with your account without asking you for personal data.
  • For this reason, it is legally considered pseudonymous personal data (not anonymous) under the GDPR: it singles you out, even though on its own it does not reveal your civil identity.
  • On iOS it persists across app reinstalls; on Android it may not persist after a reinstall, in which case a new identity is generated.

Legal basis: performance of the service you request and legitimate interest in providing a functional identity while minimizing personal data (Art. 6.1.b and 6.1.f).

3.2. Account recovery

You can generate a recovery code to restore your identity on another device or after a reinstall. That code is stored on our servers encrypted using a robust hash function (bcrypt); we do not store the code in plain text. Legal basis: performance of the service (Art. 6.1.b).

3.3. De-identified usage analytics

To understand how the apps are used and to be able to improve them, as well as to offer aggregate metrics to promoters, we collect usage events (for example, sections visited or interactions with content). This processing is designed to be de-identified:

  • Unique user metrics are calculated with probabilistic structures (HyperLogLog) that do not allow reconstructing which user did what.
  • k-anonymity is applied (threshold of 5): resources with fewer than 5 unique users are not broken down individually.
  • The intermediate detailed log uses a rotating identifier (not the userHash), derived using a key that rotates daily, and is deleted after 90 days. Only the de-identified aggregates are kept longer.
  • We do not sell this data nor use it for advertising or for individual profiling.

Legal basis: legitimate interest in analyzing and improving the service on de-identified data (Art. 6.1.f).

3.4. Security logs (audit logs)

We retain technical logs (including IP address and user agent) for security, fraud prevention and incident diagnosis purposes. Legal basis: legitimate interest in the security of the platform (Art. 6.1.f).

3.5. Corporate website: contact form and analytics

The contact form on nextival.app collects name, email, festival name and an optional message, which are handled through Formspark in order to respond to your request (legal basis: consent, Art. 6.1.a). For website analytics we use Umami Analytics, hosted on our own infrastructure, without cookies and without storing identifiable IP addresses (legal basis: legitimate interest over anonymous data, Art. 6.1.f). See also our Cookie Policy.

3.6. Festival organizer (customer) data

For promoters who contract our services, we process business contact data (name, email, phone), billing information and festival data (dates, location, schedule). Legal basis: performance of the contract or pre-contractual measures (Art. 6.1.b).

3.7. Friend location (Friends)

If this feature is available, you can form groups to locate your friends within the venue. We process the groups, the nicknames and your location with the following safeguards:

  • Location is shared via end-to-end encryption (E2E): it travels encrypted and our servers cannot read it; only the members of your group with the corresponding key can.
  • Location sharing is only activated with your explicit consent, granted through the operating system's location permission, and you can revoke it at any time from your device settings.
  • Because it involves location data, this processing is subject to reinforced safeguards and a prior data protection impact assessment (DPIA).

Legal basis: consent of the data subject (Art. 6.1.a).

4. Processing in which Nextival is a Processor (on behalf of the promoter)

In the following processing activities the Controller is the festival promoter; Nextival carries them out on their behalf as a Processor. To exercise rights over this data, the ultimate controller is the promoter, although Nextival provides technical assistance (see section 8).

  • Ticket sales (ticketing), transfers and refunds: pseudonymous identifier, purchase, tickets and payment reference at Stripe. The festival acts as merchant of record.
  • Cashless payments: wristbands, balance and transactions within the venue.
  • App economy (coins): balance and transactions for in-app purchases managed by Apple/Google.
  • Event personalization: favorites, "My Day", votes and "likes", linked to your pseudonymous identity and the festival's content identifiers.
  • Push notifications: the device's notification token (APNs on iOS, FCM on Android) and the device model, to send you festival alerts.
  • Social content, wall and raffles: attendee interactions and participations.

Some of these processing activities also have an aspect that belongs to Nextival as Controller: the virtual currency economy (coins) and the notification infrastructure and tokens. The content and the specific purposes towards the attendee are decided by the promoter.

5. Legal basis for processing (Art. 6 GDPR)

  • Pseudonymous identity and account recovery: performance of the service and legitimate interest (Art. 6.1.b and 6.1.f).
  • Ticket purchases, cashless and coins: performance of a contract (Art. 6.1.b).
  • Personalization, festival notifications and social content: performance of the requested service and the promoter's legitimate interest (Art. 6.1.b and 6.1.f); marketing notifications, where applicable, would require consent (Art. 6.1.a).
  • Friend location (Friends): consent, granted through the operating system's location permission (Art. 6.1.a).
  • De-identified analytics and security logs: legitimate interest (Art. 6.1.f).
  • Contact form: consent (Art. 6.1.a).
  • Organizer data: performance of a contract or pre-contractual measures (Art. 6.1.b).
  • Browser preferences (theme, language): exemption under Art. 5.3 of the ePrivacy Directive — strictly necessary for the requested functionality.

6. Recipients and data processors

To provide the service we rely on the following providers, who act as data processors or sub-processors and only process the data necessary for their function:

  • Stripe, Inc. (USA) — Payment processing (tickets, cashless). PCI DSS Level 1 certified. Nextival does not store card data.
  • Apple Inc. (USA) — Push notifications (APNs), in-app purchases (App Store / IAP) and system services used by the iOS app (e.g. WeatherKit, MusicKit).
  • Google LLC (USA) — Push notifications and messaging (Firebase Cloud Messaging), in-app purchases (Google Play) and map services (Google Maps) in the Android app.
  • Cloudflare, Inc. (USA) — Video and streaming delivery (Cloudflare Stream) and object storage (R2) for multimedia content.
  • Resend (USA) — Sending transactional emails to the CMS administrator staff (not to attendees).
  • Formspark (USA) — Management of the website contact form.
  • Railway Corp. (USA) — Hosting of infrastructure and the Umami Analytics instance.

All website resources (typographic fonts, scripts, icons) are served from our own servers, without external CDNs, avoiding inadvertent transfers of your IP address while browsing.

7. International data transfers

Some of our processors are located in the United States. These transfers are covered by:

  • The Standard Contractual Clauses (SCCs) approved by the European Commission (Decision 2021/914).
  • The EU-U.S. Data Privacy Framework, where the provider is certified.

8. Your rights (Art. 15-22 GDPR)

You may exercise at any time the rights of access, rectification, erasure, restriction, portability and objection over your personal data:

  • From within the app itself: in the privacy section of your profile you can export your data (access and portability, Art. 15 and 20) and delete your account (erasure, Art. 17) directly, without needing to contact us. Erasure may be limited where there is a legal retention obligation (for example, tax records of tickets already purchased) or active tickets for future events, in which case you will be informed.
  • Access (Art. 15): confirmation of whether we process your data and access to it.
  • Rectification (Art. 16): correct inaccurate or incomplete data.
  • Erasure (Art. 17): delete your data when it is no longer necessary.
  • Restriction (Art. 18) and objection (Art. 21): in processing based on legitimate interest.
  • Portability (Art. 20): receive your data in a structured and commonly used format.
  • Withdrawal of consent: where the processing is based on it, without affecting the lawfulness of the prior processing.

For processing in which Nextival is the Controller (section 3), you can exercise these rights by writing to hola@nextival.app; we will respond within a maximum of 30 days. For processing in which Nextival is a Processor (section 4), the controller is the festival promoter; if you send us a request, we will help you channel it to them and provide the necessary technical assistance.

9. Retention periods

  • Pseudonymous identity and associated data: as long as the account is active; it is deleted when the account is deleted, unless there is a legal retention obligation.
  • Detailed analytics log: maximum 90 days; de-identified aggregates may be kept longer as they do not allow individuals to be identified.
  • Ticket and payment data: for the duration of the relationship with the festival and the applicable legal tax and commercial retention periods (approximately 4-6 years), on behalf of the promoter.
  • Security logs: for the period necessary for security and fraud prevention purposes.
  • Contact form: for the duration of the commercial communication and up to 12 months from the last contact if no contractual relationship is formalized.
  • Organizer data (contract): the term of the contract and subsequent legal retention periods.

10. Automated decisions

Nextival does not carry out automated decisions with legal effects nor individual profiling within the meaning of Art. 22 of the GDPR.

11. Minors

Access to events and the contracting of services are the responsibility of the festival promoter, who is responsible for verifying the minimum age and, where applicable, for obtaining the consent required for minors in accordance with Art. 8 of the GDPR. Nextival provides the age rating of the apps in the stores.

12. Right to lodge a complaint with the supervisory authority

If you consider that the processing of your data does not comply with the regulations, you may lodge a complaint with the Spanish Data Protection Agency (AEPD):

  • Website: www.aepd.es
  • Address: C/ Jorge Juan, 6, 28001 Madrid

13. Changes to this policy

We reserve the right to update this privacy policy. Changes will be published on this page with the date of the last update.

14. Contact

For any privacy-related queries: hola@nextival.app

Política de Privacidade

Última actualización: 14 de xuño de 2026

Nextival está deseñado cun enfoque de privacy by design e minimización de datos: non recollemos o teu nome, correo electrónico nin datos biométricos para usar as apps. A túa identidade na plataforma é un identificador seudónimo e a analítica de uso é des-identificada. Esta política explica con transparencia que datos se tratan, con que base legal e como exercer os teus dereitos.

1. Responsable do tratamento

O responsable dos tratamentos descritos nesta política como propios da plataforma é:

  • THE NEXTIVAL HUB SL
  • Domicilio social: Calle Princesa 31, planta 2, puerta 2, 28008 Madrid
  • NIF: B27552025
  • Contacto en materia de privacidade: hola@nextival.app

En diante, "Nextival", "nós" ou "a plataforma".

2. Dous roles segundo o tratamento (modelo white-label)

Nextival é unha plataforma que cada organizador de festivais (o "promotor") publica como a súa propia aplicación para xestionar os seus asistentes. Por iso convén distinguir dúas situacións, porque determinan quen é o responsable legal dos teus datos:

  • Datos do asistente vinculados a un festival concreto (compra de entradas, pagamentos cashless, personalización do evento, notificacións dese festival, contido social e sorteos): o promotor do festival é o Responsable e decide os fins dese tratamento. Nextival actúa como Encargado do tratamento, é dicir, trata eses datos por conta do promotor e seguindo as súas instrucións (Art. 28 RGPD). O promotor publica a súa propia información de privacidade para estes tratamentos.
  • Datos propios da plataforma Nextival (a túa identidade seudónima, a recuperación de conta, a analítica des-identificada, os rexistros de seguridade e a web corporativa): aquí Nextival é o Responsable, porque somos nós quen decidimos eses fins, que son transversais a todos os festivais.

As seccións seguintes están organizadas segundo estes dous bloques.

3. Tratamentos nos que Nextival é Responsable

3.1. Identidade seudónima do usuario (userHash)

Para que as apps funcionen sen pedirche un rexistro con nome ou correo, xeramos un identificador único no teu dispositivo (o "userHash"), derivado dun valor aleatorio que se garda no almacenamento seguro do sistema (Chaveiro/Secure Enclave en iOS, Keystore/almacenamento cifrado en Android). É importante que entendas con honestidade como funciona:

  • Non contén nin se deriva do teu nome, correo, teléfono nin datos biométricos.
  • Si se envía aos nosos servidores en cada petición, porque é o que permite asociar as túas entradas, o teu saldo ou as túas preferencias á túa conta sen pedirche datos persoais.
  • Por iso, xuridicamente considérase un dato persoal seudónimo (non anónimo) conforme ao RGPD: individualízate, aínda que por si só non revela a túa identidade civil.
  • En iOS persiste entre reinstalacións da app; en Android pode non persistir tras unha reinstalación, en cuxo caso se xera unha nova identidade.

Base legal: execución do servizo que solicitas e interese lexítimo en proporcionar unha identidade funcional minimizando os datos persoais (Art. 6.1.b e 6.1.f).

3.2. Recuperación de conta

Podes xerar un código de recuperación para restaurar a túa identidade noutro dispositivo ou tras unha reinstalación. Ese código almacénase nos nosos servidores cifrado mediante unha función de hash robusta (bcrypt); non gardamos o código en claro. Base legal: execución do servizo (Art. 6.1.b).

3.3. Analítica de uso des-identificada

Para coñecer como se usan as apps e poder melloralas, así como ofrecer métricas agregadas aos promotores, recollemos eventos de uso (por exemplo, seccións visitadas ou interaccións con contido). Este tratamento está deseñado para ser des-identificado:

  • As métricas de usuarios únicos calcúlanse con estruturas probabilísticas (HyperLogLog) que non permiten reconstruír que usuario fixo que.
  • Aplícase k-anonimato (limiar de 5): os recursos con menos de 5 usuarios únicos non se desglosan individualmente.
  • O rexistro detallado intermedio usa un identificador rotatorio (non o userHash), derivado mediante unha clave que rota a diario, e elimínase aos 90 días. Só os agregados des-identificados se conservan máis tempo.
  • Non vendemos estes datos nin os usamos para publicidade nin para elaboración de perfís individuais.

Base legal: interese lexítimo en analizar e mellorar o servizo sobre datos des-identificados (Art. 6.1.f).

3.4. Rexistros de seguridade (logs de auditoría)

Conservamos rexistros técnicos (incluíndo dirección IP e axente de usuario) con fins de seguridade, prevención de fraude e diagnóstico de incidencias. Base legal: interese lexítimo na seguridade da plataforma (Art. 6.1.f).

3.5. Web corporativa: formulario de contacto e analítica

O formulario de contacto de nextival.app recolle nome, email, nome do festival e unha mensaxe opcional, que se xestionan a través de Formspark para atender a túa solicitude (base legal: consentimento, Art. 6.1.a). Para a analítica da web usamos Umami Analytics, aloxado na nosa propia infraestrutura, sen cookies e sen almacenar direccións IP identificables (base legal: interese lexítimo sobre datos anónimos, Art. 6.1.f). Consulta tamén a nosa Política de Cookies.

3.6. Datos de organizadores de festivais (clientes)

Para os promotores que contratan os nosos servizos tratamos datos de contacto empresarial (nome, email, teléfono), información de facturación e datos do festival (datas, ubicación, programación). Base legal: execución do contrato ou medidas precontractuais (Art. 6.1.b).

3.7. Localización de amigos (Friends)

Se esta función está dispoñible, podes formar grupos para localizar os teus amigos dentro do recinto. Tratamos os grupos, os alcumes e a túa ubicación coas seguintes salvagardas:

  • A ubicación compártese mediante cifrado de extremo a extremo (E2E): viaxa cifrada e os nosos servidores non poden lela; só os membros do teu grupo coa clave correspondente.
  • A compartición de ubicación só se activa co teu consentimento explícito, outorgado a través do permiso de ubicación do sistema operativo, e podes revogala en calquera momento desde os axustes do teu dispositivo.
  • Por tratarse de datos de ubicación, este tratamento está suxeito a salvagardas reforzadas e a unha avaliación de impacto relativa á protección de datos (DPIA) previa.

Base legal: consentimento do interesado (Art. 6.1.a).

4. Tratamentos nos que Nextival é Encargado (por conta do promotor)

Nos seguintes tratamentos o Responsable é o promotor do festival; Nextival realízaos por conta del como Encargado. Para o exercicio de dereitos sobre estes datos, o responsable último é o promotor, se ben Nextival préstalle asistencia técnica (ver sección 8).

  • Venda de entradas (ticketing), transferencias e reembolsos: identificador seudónimo, compra, entradas e referencia de pagamento en Stripe. O festival actúa como comerciante de rexistro (merchant of record).
  • Pagamentos cashless: pulseiras, saldo e transaccións dentro do recinto.
  • Economía da app (coins): saldo e transaccións de compras integradas (in-app purchases) xestionadas por Apple/Google.
  • Personalización do evento: favoritos, "O Meu Día", votacións e "gústame", vinculados á túa identidade seudónima e identificadores de contido do festival.
  • Notificacións push: o token de notificacións do dispositivo (APNs en iOS, FCM en Android) e o modelo de dispositivo, para enviarche avisos do festival.
  • Contido social, muro e sorteos: interaccións e participacións do asistente.

Algúns destes tratamentos teñen ademais unha vertente propia de Nextival como Responsable: a economía da moeda virtual (coins) e a infraestrutura e os tokens de notificacións. O contido e os fins concretos de cara ao asistente decídeos o promotor.

5. Base xurídica do tratamento (Art. 6 RGPD)

  • Identidade seudónima e recuperación de conta: execución do servizo e interese lexítimo (Art. 6.1.b e 6.1.f).
  • Compra de entradas, cashless e coins: execución dun contrato (Art. 6.1.b).
  • Personalización, notificacións do festival e contido social: execución do servizo solicitado e interese lexítimo do promotor (Art. 6.1.b e 6.1.f); as notificacións de marketing, no seu caso, requirirían consentimento (Art. 6.1.a).
  • Localización de amigos (Friends): consentimento, outorgado mediante o permiso de ubicación do sistema operativo (Art. 6.1.a).
  • Analítica des-identificada e rexistros de seguridade: interese lexítimo (Art. 6.1.f).
  • Formulario de contacto: consentimento (Art. 6.1.a).
  • Datos de organizadores: execución de contrato ou medidas precontractuais (Art. 6.1.b).
  • Preferencias do navegador (tema, idioma): exención do Art. 5.3 da Directiva ePrivacy — estritamente necesarias para o funcionamento solicitado.

6. Destinatarios e encargados do tratamento

Para prestar o servizo recorremos aos seguintes provedores, que actúan como encargados ou subencargados do tratamento e só tratan os datos necesarios para a súa función:

  • Stripe, Inc. (EE.UU.) — Procesamento de pagamentos (entradas, cashless). Certificado PCI DSS Level 1. Nextival non almacena datos de tarxetas.
  • Apple Inc. (EE.UU.) — Notificacións push (APNs), compras integradas (App Store / IAP) e servizos do sistema utilizados pola app iOS (p. ex. WeatherKit, MusicKit).
  • Google LLC (EE.UU.) — Notificacións push e mensaxería (Firebase Cloud Messaging), compras integradas (Google Play) e servizos de mapas (Google Maps) na app Android.
  • Cloudflare, Inc. (EE.UU.) — Entrega de vídeo e streaming (Cloudflare Stream) e almacenamento de obxectos (R2) do contido multimedia.
  • Resend (EE.UU.) — Envío de correos transaccionais ao persoal administrador do CMS (non a asistentes).
  • Formspark (EE.UU.) — Xestión do formulario de contacto da web.
  • Railway Corp. (EE.UU.) — Aloxamento de infraestrutura e da instancia de Umami Analytics.

Todos os recursos do sitio web (fontes tipográficas, scripts, iconas) sérvense desde os nosos propios servidores, sen CDNs externos, evitando transferencias involuntarias da túa dirección IP ao navegar.

7. Transferencias internacionais de datos

Algúns dos nosos encargados están ubicados en Estados Unidos. Estas transferencias ampáranse en:

  • As Cláusulas Contractuais Tipo (CCT) aprobadas pola Comisión Europea (Decisión 2021/914).
  • O Marco de Privacidade de Datos UE-EE.UU. (EU-U.S. Data Privacy Framework), cando o provedor estea certificado.

8. Os teus dereitos (Art. 15-22 RGPD)

Podes exercer en calquera momento os dereitos de acceso, rectificación, supresión, limitación, portabilidade e oposición sobre os teus datos persoais:

  • Desde a propia app: na sección de privacidade do teu perfil podes exportar os teus datos (acceso e portabilidade, Art. 15 e 20) e borrar a túa conta (supresión, Art. 17) directamente, sen necesidade de contactarnos. O borrado pode estar limitado cando exista unha obriga legal de conservación (por exemplo, rexistros fiscais de entradas xa adquiridas) ou entradas activas para eventos futuros, en cuxo caso se che informará.
  • Acceso (Art. 15): confirmación de se tratamos os teus datos e acceso a eles.
  • Rectificación (Art. 16): corrixir datos inexactos ou incompletos.
  • Supresión (Art. 17): eliminar os teus datos cando xa non sexan necesarios.
  • Limitación (Art. 18) e oposición (Art. 21): nos tratamentos baseados en interese lexítimo.
  • Portabilidade (Art. 20): recibir os teus datos nun formato estruturado e de uso común.
  • Retirada do consentimento: cando o tratamento se base nel, sen afectar á licitude do tratamento previo.

Para os tratamentos nos que Nextival é Responsable (sección 3), podes exercer estes dereitos escribindo a hola@nextival.app; responderemos nun prazo máximo de 30 días. Para os tratamentos nos que Nextival é Encargado (sección 4), o responsable é o promotor do festival; se nos dirixes unha solicitude, axudarémoste a canalizala cara a el e prestarémoslle a asistencia técnica necesaria.

9. Prazos de conservación

  • Identidade seudónima e datos asociados: mentres a conta estea activa; elimínanse ao borrar a conta, salvo obriga legal de conservación.
  • Rexistro detallado de analítica: máximo 90 días; os agregados des-identificados poden conservarse máis tempo ao non permitir identificar persoas.
  • Datos de entradas e pagamentos: durante a relación co festival e os prazos legais de conservación fiscal e mercantil aplicables (orientativamente 4-6 anos), por conta do promotor.
  • Rexistros de seguridade (logs): durante o prazo necesario para os fins de seguridade e prevención de fraude.
  • Formulario de contacto: mentres dure a comunicación comercial e ata 12 meses desde o último contacto se non se formaliza relación contractual.
  • Datos de organizadores (contrato): vixencia do contrato e prazos legais de conservación posteriores.

10. Decisións automatizadas

Nextival non realiza decisións automatizadas con efectos xurídicos nin elaboración de perfís individuais (profiling) no sentido do Art. 22 do RGPD.

11. Menores

O acceso aos eventos e a contratación de servizos correspóndenlle ao promotor do festival, que é responsable de verificar a idade mínima e, no seu caso, de obter o consentimento esixido para menores conforme ao Art. 8 do RGPD. Nextival proporciona a clasificación de idade (age rating) das apps nas tendas.

12. Dereito a reclamar ante a autoridade de control

Se consideras que o tratamento dos teus datos non se axusta á normativa, podes reclamar ante a Axencia Española de Protección de Datos (AEPD):

  • Web: www.aepd.es
  • Dirección: C/ Jorge Juan, 6, 28001 Madrid

13. Cambios nesta política

Reservámonos o dereito de actualizar esta política de privacidade. Os cambios publicaranse nesta páxina coa data de última actualización.

14. Contacto

Para calquera consulta sobre privacidade: hola@nextival.app

Política de Privacitat

Última actualització: 14 de juny de 2026

Nextival està dissenyat amb un enfocament de privacy by design i minimització de dades: no recollim el teu nom, correu electrònic ni dades biomètriques per utilitzar les apps. La teva identitat a la plataforma és un identificador pseudònim i l'analítica d'ús és desidentificada. Aquesta política explica amb transparència quines dades es tracten, amb quina base legal i com exercir els teus drets.

1. Responsable del tractament

El responsable dels tractaments descrits en aquesta política com a propis de la plataforma és:

  • THE NEXTIVAL HUB SL
  • Domicili social: Calle Princesa 31, planta 2, puerta 2, 28008 Madrid
  • NIF: B27552025
  • Contacte en matèria de privacitat: hola@nextival.app

En endavant, "Nextival", "nosaltres" o "la plataforma".

2. Dos rols segons el tractament (model white-label)

Nextival és una plataforma que cada organitzador de festivals (el "promotor") publica com la seva pròpia aplicació per gestionar els seus assistents. Per això convé distingir dues situacions, perquè determinen qui és el responsable legal de les teves dades:

  • Dades de l'assistent vinculades a un festival concret (compra d'entrades, pagaments cashless, personalització de l'esdeveniment, notificacions d'aquell festival, contingut social i sorteigs): el promotor del festival és el Responsable i decideix les finalitats d'aquell tractament. Nextival actua com a Encarregat del tractament, és a dir, tracta aquestes dades per compte del promotor i seguint les seves instruccions (Art. 28 RGPD). El promotor publica la seva pròpia informació de privacitat per a aquests tractaments.
  • Dades pròpies de la plataforma Nextival (la teva identitat pseudònima, la recuperació de compte, l'analítica desidentificada, els registres de seguretat i el web corporatiu): aquí Nextival és el Responsable, perquè som nosaltres qui decidim aquestes finalitats, que són transversals a tots els festivals.

Les seccions següents estan organitzades segons aquests dos blocs.

3. Tractaments en què Nextival és Responsable

3.1. Identitat pseudònima de l'usuari (userHash)

Perquè les apps funcionin sense demanar-te un registre amb nom o correu, generem un identificador únic al teu dispositiu (el "userHash"), derivat d'un valor aleatori que es desa a l'emmagatzematge segur del sistema (Clauer/Secure Enclave a iOS, Keystore/emmagatzematge xifrat a Android). És important que entenguis amb honestedat com funciona:

  • No conté ni es deriva del teu nom, correu, telèfon ni dades biomètriques.
  • Sí que s'envia als nostres servidors en cada petició, perquè és el que permet associar les teves entrades, el teu saldo o les teves preferències al teu compte sense demanar-te dades personals.
  • Per això, jurídicament es considera una dada personal pseudònima (no anònima) d'acord amb el RGPD: t'individualitza, encara que per si sola no revela la teva identitat civil.
  • A iOS persisteix entre reinstal·lacions de l'app; a Android pot no persistir després d'una reinstal·lació, cas en què es genera una nova identitat.

Base legal: execució del servei que sol·licites i interès legítim a proporcionar una identitat funcional minimitzant les dades personals (Art. 6.1.b i 6.1.f).

3.2. Recuperació de compte

Pots generar un codi de recuperació per restaurar la teva identitat en un altre dispositiu o després d'una reinstal·lació. Aquest codi s'emmagatzema als nostres servidors xifrat mitjançant una funció de hash robusta (bcrypt); no desem el codi en clar. Base legal: execució del servei (Art. 6.1.b).

3.3. Analítica d'ús desidentificada

Per conèixer com s'usen les apps i poder millorar-les, així com oferir mètriques agregades als promotors, recollim esdeveniments d'ús (per exemple, seccions visitades o interaccions amb contingut). Aquest tractament està dissenyat per ser desidentificat:

  • Les mètriques d'usuaris únics es calculen amb estructures probabilístiques (HyperLogLog) que no permeten reconstruir quin usuari va fer què.
  • S'aplica k-anonimat (llindar de 5): els recursos amb menys de 5 usuaris únics no es desglossen individualment.
  • El registre detallat intermedi fa servir un identificador rotatori (no el userHash), derivat mitjançant una clau que rota diàriament, i s'elimina als 90 dies. Només els agregats desidentificats es conserven més temps.
  • No venem aquestes dades ni les fem servir per a publicitat ni per a l'elaboració de perfils individuals.

Base legal: interès legítim a analitzar i millorar el servei sobre dades desidentificades (Art. 6.1.f).

3.4. Registres de seguretat (logs d'auditoria)

Conservem registres tècnics (incloent adreça IP i agent d'usuari) amb finalitats de seguretat, prevenció de frau i diagnòstic d'incidències. Base legal: interès legítim en la seguretat de la plataforma (Art. 6.1.f).

3.5. Web corporatiu: formulari de contacte i analítica

El formulari de contacte de nextival.app recull nom, email, nom del festival i un missatge opcional, que es gestionen a través de Formspark per atendre la teva sol·licitud (base legal: consentiment, Art. 6.1.a). Per a l'analítica del web fem servir Umami Analytics, allotjat a la nostra pròpia infraestructura, sense cookies i sense emmagatzemar adreces IP identificables (base legal: interès legítim sobre dades anònimes, Art. 6.1.f). Consulta també la nostra Política de Cookies.

3.6. Dades d'organitzadors de festivals (clients)

Per als promotors que contracten els nostres serveis tractem dades de contacte empresarial (nom, email, telèfon), informació de facturació i dades del festival (dates, ubicació, programació). Base legal: execució del contracte o mesures precontractuals (Art. 6.1.b).

3.7. Localització d'amics (Friends)

Si aquesta funció està disponible, pots formar grups per localitzar els teus amics dins del recinte. Tractem els grups, els sobrenoms i la teva ubicació amb les salvaguardes següents:

  • La ubicació es comparteix mitjançant xifratge d'extrem a extrem (E2E): viatja xifrada i els nostres servidors no la poden llegir; només els membres del teu grup amb la clau corresponent.
  • La compartició d'ubicació només s'activa amb el teu consentiment explícit, atorgat a través del permís d'ubicació del sistema operatiu, i la pots revocar en qualsevol moment des dels ajustos del teu dispositiu.
  • En tractar-se de dades d'ubicació, aquest tractament està subjecte a salvaguardes reforçades i a una avaluació d'impacte relativa a la protecció de dades (DPIA) prèvia.

Base legal: consentiment de l'interessat (Art. 6.1.a).

4. Tractaments en què Nextival és Encarregat (per compte del promotor)

En els tractaments següents el Responsable és el promotor del festival; Nextival els realitza per compte seu com a Encarregat. Per a l'exercici de drets sobre aquestes dades, el responsable últim és el promotor, si bé Nextival li presta assistència tècnica (vegeu la secció 8).

  • Venda d'entrades (ticketing), transferències i reemborsaments: identificador pseudònim, compra, entrades i referència de pagament a Stripe. El festival actua com a comerciant de registre (merchant of record).
  • Pagaments cashless: polseres, saldo i transaccions dins del recinte.
  • Economia de l'app (coins): saldo i transaccions de compres integrades (in-app purchases) gestionades per Apple/Google.
  • Personalització de l'esdeveniment: preferits, "El Meu Dia", votacions i "m'agrada", vinculats a la teva identitat pseudònima i identificadors de contingut del festival.
  • Notificacions push: el token de notificacions del dispositiu (APNs a iOS, FCM a Android) i el model de dispositiu, per enviar-te avisos del festival.
  • Contingut social, mur i sorteigs: interaccions i participacions de l'assistent.

Alguns d'aquests tractaments tenen a més una vessant pròpia de Nextival com a Responsable: l'economia de la moneda virtual (coins) i la infraestructura i els tokens de notificacions. El contingut i les finalitats concretes de cara a l'assistent els decideix el promotor.

5. Base jurídica del tractament (Art. 6 RGPD)

  • Identitat pseudònima i recuperació de compte: execució del servei i interès legítim (Art. 6.1.b i 6.1.f).
  • Compra d'entrades, cashless i coins: execució d'un contracte (Art. 6.1.b).
  • Personalització, notificacions del festival i contingut social: execució del servei sol·licitat i interès legítim del promotor (Art. 6.1.b i 6.1.f); les notificacions de màrqueting, si escau, requeririen consentiment (Art. 6.1.a).
  • Localització d'amics (Friends): consentiment, atorgat mitjançant el permís d'ubicació del sistema operatiu (Art. 6.1.a).
  • Analítica desidentificada i registres de seguretat: interès legítim (Art. 6.1.f).
  • Formulari de contacte: consentiment (Art. 6.1.a).
  • Dades d'organitzadors: execució de contracte o mesures precontractuals (Art. 6.1.b).
  • Preferències del navegador (tema, idioma): exempció de l'Art. 5.3 de la Directiva ePrivacy — estrictament necessàries per al funcionament sol·licitat.

6. Destinataris i encarregats del tractament

Per prestar el servei recorrem als proveïdors següents, que actuen com a encarregats o subencarregats del tractament i només tracten les dades necessàries per a la seva funció:

  • Stripe, Inc. (EUA) — Processament de pagaments (entrades, cashless). Certificat PCI DSS Level 1. Nextival no emmagatzema dades de targetes.
  • Apple Inc. (EUA) — Notificacions push (APNs), compres integrades (App Store / IAP) i serveis del sistema utilitzats per l'app iOS (p. ex. WeatherKit, MusicKit).
  • Google LLC (EUA) — Notificacions push i missatgeria (Firebase Cloud Messaging), compres integrades (Google Play) i serveis de mapes (Google Maps) a l'app Android.
  • Cloudflare, Inc. (EUA) — Lliurament de vídeo i streaming (Cloudflare Stream) i emmagatzematge d'objectes (R2) del contingut multimèdia.
  • Resend (EUA) — Enviament de correus transaccionals al personal administrador del CMS (no a assistents).
  • Formspark (EUA) — Gestió del formulari de contacte del web.
  • Railway Corp. (EUA) — Allotjament d'infraestructura i de la instància d'Umami Analytics.

Tots els recursos del lloc web (tipus de lletra, scripts, icones) se serveixen des dels nostres propis servidors, sense CDNs externs, evitant transferències involuntàries de la teva adreça IP en navegar.

7. Transferències internacionals de dades

Alguns dels nostres encarregats estan ubicats als Estats Units. Aquestes transferències s'emparen en:

  • Les Clàusules Contractuals Tipus (CCT) aprovades per la Comissió Europea (Decisió 2021/914).
  • El Marc de Privacitat de Dades UE-EUA (EU-U.S. Data Privacy Framework), quan el proveïdor estigui certificat.

8. Els teus drets (Art. 15-22 RGPD)

Pots exercir en qualsevol moment els drets d'accés, rectificació, supressió, limitació, portabilitat i oposició sobre les teves dades personals:

  • Des de la mateixa app: a la secció de privacitat del teu perfil pots exportar les teves dades (accés i portabilitat, Art. 15 i 20) i esborrar el teu compte (supressió, Art. 17) directament, sense necessitat de contactar-nos. L'esborrat pot estar limitat quan existeixi una obligació legal de conservació (per exemple, registres fiscals d'entrades ja adquirides) o entrades actives per a esdeveniments futurs, cas en què se t'informarà.
  • Accés (Art. 15): confirmació de si tractem les teves dades i accés a aquestes.
  • Rectificació (Art. 16): corregir dades inexactes o incompletes.
  • Supressió (Art. 17): eliminar les teves dades quan ja no siguin necessàries.
  • Limitació (Art. 18) i oposició (Art. 21): en els tractaments basats en interès legítim.
  • Portabilitat (Art. 20): rebre les teves dades en un format estructurat i d'ús comú.
  • Retirada del consentiment: quan el tractament s'hi basi, sense afectar la licitud del tractament previ.

Per als tractaments en què Nextival és Responsable (secció 3), pots exercir aquests drets escrivint a hola@nextival.app; respondrem en un termini màxim de 30 dies. Per als tractaments en què Nextival és Encarregat (secció 4), el responsable és el promotor del festival; si ens adreces una sol·licitud, t'ajudarem a canalitzar-la cap a ell i li prestarem l'assistència tècnica necessària.

9. Terminis de conservació

  • Identitat pseudònima i dades associades: mentre el compte estigui actiu; s'eliminen en esborrar el compte, llevat d'obligació legal de conservació.
  • Registre detallat d'analítica: màxim 90 dies; els agregats desidentificats poden conservar-se més temps en no permetre identificar persones.
  • Dades d'entrades i pagaments: durant la relació amb el festival i els terminis legals de conservació fiscal i mercantil aplicables (orientativament 4-6 anys), per compte del promotor.
  • Registres de seguretat (logs): durant el termini necessari per a les finalitats de seguretat i prevenció de frau.
  • Formulari de contacte: mentre duri la comunicació comercial i fins a 12 mesos des de l'últim contacte si no es formalitza relació contractual.
  • Dades d'organitzadors (contracte): vigència del contracte i terminis legals de conservació posteriors.

10. Decisions automatitzades

Nextival no realitza decisions automatitzades amb efectes jurídics ni elaboració de perfils individuals (profiling) en el sentit de l'Art. 22 del RGPD.

11. Menors

L'accés als esdeveniments i la contractació de serveis corresponen al promotor del festival, que és responsable de verificar l'edat mínima i, si escau, de recaptar el consentiment exigit per a menors d'acord amb l'Art. 8 del RGPD. Nextival proporciona la classificació d'edat (age rating) de les apps a les botigues.

12. Dret a reclamar davant l'autoritat de control

Si consideres que el tractament de les teves dades no s'ajusta a la normativa, pots reclamar davant l'Agència Espanyola de Protecció de Dades (AEPD):

  • Web: www.aepd.es
  • Adreça: C/ Jorge Juan, 6, 28001 Madrid

13. Canvis en aquesta política

Ens reservem el dret d'actualitzar aquesta política de privacitat. Els canvis es publicaran en aquesta pàgina amb la data de l'última actualització.

14. Contacte

Per a qualsevol consulta sobre privacitat: hola@nextival.app

Política de Privacidade

Última atualização: 14 de junho de 2026

A Nextival foi concebida com uma abordagem de privacy by design e de minimização de dados: não recolhemos o teu nome, correio eletrónico nem dados biométricos para utilizares as apps. A tua identidade na plataforma é um identificador pseudónimo e a analítica de utilização é desidentificada. Esta política explica com transparência que dados são tratados, com que base legal e como exercer os teus direitos.

1. Responsável pelo tratamento

O responsável pelos tratamentos descritos nesta política como próprios da plataforma é:

  • THE NEXTIVAL HUB SL
  • Sede social: Calle Princesa 31, planta 2, puerta 2, 28008 Madrid
  • NIF: B27552025
  • Contacto em matéria de privacidade: hola@nextival.app

Doravante, "Nextival", "nós" ou "a plataforma".

2. Dois papéis consoante o tratamento (modelo white-label)

A Nextival é uma plataforma que cada organizador de festivais (o "promotor") publica como a sua própria aplicação para gerir os seus participantes. Por isso convém distinguir duas situações, porque determinam quem é o responsável legal pelos teus dados:

  • Dados do participante associados a um festival concreto (compra de bilhetes, pagamentos cashless, personalização do evento, notificações desse festival, conteúdo social e sorteios): o promotor do festival é o Responsável e decide as finalidades desse tratamento. A Nextival atua como Subcontratante, ou seja, trata esses dados por conta do promotor e segundo as suas instruções (Art. 28 RGPD). O promotor publica a sua própria informação de privacidade para estes tratamentos.
  • Dados próprios da plataforma Nextival (a tua identidade pseudónima, a recuperação de conta, a analítica desidentificada, os registos de segurança e o sítio web corporativo): aqui a Nextival é o Responsável, porque somos nós quem decide essas finalidades, que são transversais a todos os festivais.

As secções seguintes estão organizadas segundo estes dois blocos.

3. Tratamentos em que a Nextival é Responsável

3.1. Identidade pseudónima do utilizador (userHash)

Para que as apps funcionem sem te pedir um registo com nome ou correio eletrónico, geramos um identificador único no teu dispositivo (o "userHash"), derivado de um valor aleatório que é guardado no armazenamento seguro do sistema (Porta-chaves/Secure Enclave no iOS, Keystore/armazenamento cifrado no Android). É importante que percebas com honestidade como funciona:

  • Não contém nem deriva do teu nome, correio eletrónico, telefone nem dados biométricos.
  • É efetivamente enviado aos nossos servidores em cada pedido, porque é o que permite associar os teus bilhetes, o teu saldo ou as tuas preferências à tua conta sem te pedir dados pessoais.
  • Por isso, juridicamente é considerado um dado pessoal pseudónimo (não anónimo) nos termos do RGPD: individualiza-te, embora por si só não revele a tua identidade civil.
  • No iOS persiste entre reinstalações da app; no Android pode não persistir após uma reinstalação, caso em que é gerada uma nova identidade.

Base legal: execução do serviço que solicitas e interesse legítimo em proporcionar uma identidade funcional minimizando os dados pessoais (Art. 6.1.b e 6.1.f).

3.2. Recuperação de conta

Podes gerar um código de recuperação para restaurar a tua identidade noutro dispositivo ou após uma reinstalação. Esse código é armazenado nos nossos servidores cifrado através de uma função de hash robusta (bcrypt); não guardamos o código em claro. Base legal: execução do serviço (Art. 6.1.b).

3.3. Analítica de utilização desidentificada

Para conhecer como são utilizadas as apps e poder melhorá-las, bem como oferecer métricas agregadas aos promotores, recolhemos eventos de utilização (por exemplo, secções visitadas ou interações com conteúdo). Este tratamento foi concebido para ser desidentificado:

  • As métricas de utilizadores únicos são calculadas com estruturas probabilísticas (HyperLogLog) que não permitem reconstruir que utilizador fez o quê.
  • Aplica-se k-anonimato (limiar de 5): os recursos com menos de 5 utilizadores únicos não são desagregados individualmente.
  • O registo detalhado intermédio utiliza um identificador rotativo (não o userHash), derivado através de uma chave que roda diariamente, e é eliminado ao fim de 90 dias. Apenas os agregados desidentificados são conservados por mais tempo.
  • Não vendemos estes dados nem os usamos para publicidade nem para a definição de perfis individuais.

Base legal: interesse legítimo em analisar e melhorar o serviço sobre dados desidentificados (Art. 6.1.f).

3.4. Registos de segurança (logs de auditoria)

Conservamos registos técnicos (incluindo endereço IP e agente de utilizador) com fins de segurança, prevenção de fraude e diagnóstico de incidentes. Base legal: interesse legítimo na segurança da plataforma (Art. 6.1.f).

3.5. Sítio web corporativo: formulário de contacto e analítica

O formulário de contacto de nextival.app recolhe nome, email, nome do festival e uma mensagem opcional, que são geridos através da Formspark para atender ao teu pedido (base legal: consentimento, Art. 6.1.a). Para a analítica do sítio web utilizamos a Umami Analytics, alojada na nossa própria infraestrutura, sem cookies e sem armazenar endereços IP identificáveis (base legal: interesse legítimo sobre dados anónimos, Art. 6.1.f). Consulta também a nossa Política de Cookies.

3.6. Dados de organizadores de festivais (clientes)

Para os promotores que contratam os nossos serviços tratamos dados de contacto empresarial (nome, email, telefone), informação de faturação e dados do festival (datas, localização, programação). Base legal: execução do contrato ou diligências pré-contratuais (Art. 6.1.b).

3.7. Localização de amigos (Friends)

Se esta funcionalidade estiver disponível, podes formar grupos para localizar os teus amigos dentro do recinto. Tratamos os grupos, as alcunhas e a tua localização com as seguintes salvaguardas:

  • A localização é partilhada através de cifragem de ponta a ponta (E2E): viaja cifrada e os nossos servidores não a conseguem ler; apenas os membros do teu grupo com a chave correspondente.
  • A partilha de localização só é ativada com o teu consentimento explícito, concedido através da permissão de localização do sistema operativo, e podes revogá-la em qualquer momento a partir das definições do teu dispositivo.
  • Por se tratar de dados de localização, este tratamento está sujeito a salvaguardas reforçadas e a uma avaliação de impacto sobre a proteção de dados (DPIA) prévia.

Base legal: consentimento do titular dos dados (Art. 6.1.a).

4. Tratamentos em que a Nextival é Subcontratante (por conta do promotor)

Nos seguintes tratamentos o Responsável é o promotor do festival; a Nextival realiza-os por conta deste como Subcontratante. Para o exercício de direitos sobre estes dados, o responsável último é o promotor, ainda que a Nextival lhe preste assistência técnica (ver secção 8).

  • Venda de bilhetes (ticketing), transferências e reembolsos: identificador pseudónimo, compra, bilhetes e referência de pagamento na Stripe. O festival atua como comerciante de registo (merchant of record).
  • Pagamentos cashless: pulseiras, saldo e transações dentro do recinto.
  • Economia da app (coins): saldo e transações de compras integradas (in-app purchases) geridas pela Apple/Google.
  • Personalização do evento: favoritos, "O Meu Dia", votações e "gostos", associados à tua identidade pseudónima e a identificadores de conteúdo do festival.
  • Notificações push: o token de notificações do dispositivo (APNs no iOS, FCM no Android) e o modelo de dispositivo, para te enviar avisos do festival.
  • Conteúdo social, mural e sorteios: interações e participações do participante.

Alguns destes tratamentos têm, além disso, uma vertente própria da Nextival como Responsável: a economia da moeda virtual (coins) e a infraestrutura e os tokens de notificações. O conteúdo e as finalidades concretas perante o participante são decididos pelo promotor.

5. Base jurídica do tratamento (Art. 6 RGPD)

  • Identidade pseudónima e recuperação de conta: execução do serviço e interesse legítimo (Art. 6.1.b e 6.1.f).
  • Compra de bilhetes, cashless e coins: execução de um contrato (Art. 6.1.b).
  • Personalização, notificações do festival e conteúdo social: execução do serviço solicitado e interesse legítimo do promotor (Art. 6.1.b e 6.1.f); as notificações de marketing, se for o caso, exigiriam consentimento (Art. 6.1.a).
  • Localização de amigos (Friends): consentimento, concedido através da permissão de localização do sistema operativo (Art. 6.1.a).
  • Analítica desidentificada e registos de segurança: interesse legítimo (Art. 6.1.f).
  • Formulário de contacto: consentimento (Art. 6.1.a).
  • Dados de organizadores: execução de contrato ou diligências pré-contratuais (Art. 6.1.b).
  • Preferências do navegador (tema, idioma): isenção do Art. 5.3 da Diretiva ePrivacy — estritamente necessárias para o funcionamento solicitado.

6. Destinatários e subcontratantes do tratamento

Para prestar o serviço recorremos aos seguintes fornecedores, que atuam como subcontratantes ou subcontratantes ulteriores do tratamento e apenas tratam os dados necessários à sua função:

  • Stripe, Inc. (EUA) — Processamento de pagamentos (bilhetes, cashless). Certificado PCI DSS Level 1. A Nextival não armazena dados de cartões.
  • Apple Inc. (EUA) — Notificações push (APNs), compras integradas (App Store / IAP) e serviços do sistema utilizados pela app iOS (p. ex. WeatherKit, MusicKit).
  • Google LLC (EUA) — Notificações push e mensagens (Firebase Cloud Messaging), compras integradas (Google Play) e serviços de mapas (Google Maps) na app Android.
  • Cloudflare, Inc. (EUA) — Entrega de vídeo e streaming (Cloudflare Stream) e armazenamento de objetos (R2) do conteúdo multimédia.
  • Resend (EUA) — Envio de correios transacionais ao pessoal administrador do CMS (não aos participantes).
  • Formspark (EUA) — Gestão do formulário de contacto do sítio web.
  • Railway Corp. (EUA) — Alojamento de infraestrutura e da instância da Umami Analytics.

Todos os recursos do sítio web (tipos de letra, scripts, ícones) são servidos a partir dos nossos próprios servidores, sem CDNs externos, evitando transferências involuntárias do teu endereço IP durante a navegação.

7. Transferências internacionais de dados

Alguns dos nossos subcontratantes estão localizados nos Estados Unidos. Estas transferências estão abrangidas por:

  • As Cláusulas Contratuais-Tipo (CCT) aprovadas pela Comissão Europeia (Decisão 2021/914).
  • O Quadro de Privacidade de Dados UE-EUA (EU-U.S. Data Privacy Framework), quando o fornecedor esteja certificado.

8. Os teus direitos (Art. 15-22 RGPD)

Podes exercer em qualquer momento os direitos de acesso, retificação, apagamento, limitação, portabilidade e oposição sobre os teus dados pessoais:

  • A partir da própria app: na secção de privacidade do teu perfil podes exportar os teus dados (acesso e portabilidade, Art. 15 e 20) e apagar a tua conta (apagamento, Art. 17) diretamente, sem necessidade de nos contactares. O apagamento pode estar limitado quando exista uma obrigação legal de conservação (por exemplo, registos fiscais de bilhetes já adquiridos) ou bilhetes ativos para eventos futuros, caso em que serás informado.
  • Acesso (Art. 15): confirmação de se tratamos os teus dados e acesso aos mesmos.
  • Retificação (Art. 16): corrigir dados inexatos ou incompletos.
  • Apagamento (Art. 17): eliminar os teus dados quando já não sejam necessários.
  • Limitação (Art. 18) e oposição (Art. 21): nos tratamentos baseados em interesse legítimo.
  • Portabilidade (Art. 20): receber os teus dados num formato estruturado e de uso corrente.
  • Retirada do consentimento: quando o tratamento se baseie nele, sem afetar a licitude do tratamento anterior.

Para os tratamentos em que a Nextival é Responsável (secção 3), podes exercer estes direitos escrevendo para hola@nextival.app; responderemos num prazo máximo de 30 dias. Para os tratamentos em que a Nextival é Subcontratante (secção 4), o responsável é o promotor do festival; se nos dirigires um pedido, ajudar-te-emos a encaminhá-lo para ele e prestar-lhe-emos a assistência técnica necessária.

9. Prazos de conservação

  • Identidade pseudónima e dados associados: enquanto a conta estiver ativa; são eliminados ao apagar a conta, salvo obrigação legal de conservação.
  • Registo detalhado de analítica: máximo de 90 dias; os agregados desidentificados podem ser conservados por mais tempo por não permitirem identificar pessoas.
  • Dados de bilhetes e pagamentos: durante a relação com o festival e os prazos legais de conservação fiscal e mercantil aplicáveis (orientativamente 4-6 anos), por conta do promotor.
  • Registos de segurança (logs): durante o prazo necessário para os fins de segurança e prevenção de fraude.
  • Formulário de contacto: enquanto durar a comunicação comercial e até 12 meses desde o último contacto se não se formalizar relação contratual.
  • Dados de organizadores (contrato): vigência do contrato e prazos legais de conservação posteriores.

10. Decisões automatizadas

A Nextival não toma decisões automatizadas com efeitos jurídicos nem realiza definição de perfis individuais (profiling) na aceção do Art. 22 do RGPD.

11. Menores

O acesso aos eventos e a contratação de serviços competem ao promotor do festival, que é responsável por verificar a idade mínima e, se for o caso, por recolher o consentimento exigido para menores nos termos do Art. 8 do RGPD. A Nextival fornece a classificação etária (age rating) das apps nas lojas.

12. Direito a reclamar junto da autoridade de controlo

Se considerares que o tratamento dos teus dados não está em conformidade com a regulamentação, podes reclamar junto da Agência Espanhola de Proteção de Dados (AEPD):

  • Web: www.aepd.es
  • Endereço: C/ Jorge Juan, 6, 28001 Madrid

13. Alterações a esta política

Reservamo-nos o direito de atualizar esta política de privacidade. As alterações serão publicadas nesta página com a data da última atualização.

14. Contacto

Para qualquer questão sobre privacidade: hola@nextival.app